زبائن المتجر يرون صفحة «حسابي» الخاصة بزبائن آخرين: الاسم والعنوان والطلبيات

يبيع متجر MasterLinux (boutique.masterlinux.lab) باقات التكوين. ويُقدَّم عبر توزيع CloudFront المسمّى E1MLX7Q2B9K4TZ أمام ALB وخادم الأصل ml-web-01 (nginx + تطبيق Node.js). صفحات حساب الزبون تقع تحت /compte/*، والجلسة محفوظة في ملف تعريف الارتباط ml_session.

أمس على الساعة 18:12، نشر فريق المنصة التغيير CHG-2231 «تحسين ذاكرة CloudFront المؤقتة، وتخفيف الحِمل على الأصل». ومنذ هذا الصباح، تلقى الدعم أحد عشر بلاغًا: عند فتح «حسابي»، يرى طلاب اسم طالب آخر وعنوانه وسجل طلبياته.

إنه تسريب معطيات شخصية جارٍ. يريد المدير التقني أن يتوقف خلال الساعة، دون قطع المتجر، مع تقرير من أجل التصريح. أنت مهندس أمن السحابة المناوب، على ml-poste-01 (AWS CLI v2 وcurl)، مع وصول SSH إلى ml-web-01. زوّدك الدعم بملفَّي تعريف ارتباط لجلستي حسابَي اختبار: ml_session=t3st-a71 (etudiant-test-a) و ml_session=t3st-b52 (etudiant-test-b).